「Apache Hive」にユーザー定義関数を上書きされる脆弱性
「Apache Hive」の「ユーザー定義関数(UDF)」の機能に脆弱性が含まれていることが明らかとなった。4月にリリースされた「同3.1.3」にて修正済みだという。
「同3.1.2」および以前のバージョンでは、「CREATE」および「DROP」関数の操作において権限チェックの不備「CVE-2021-34538」が存在するもので、開発チームが7月16日に明らかにした。
脆弱性を悪用することで、認証や権限を持たないユーザーによって既存のユーザー定義関数を削除したり、あらたにjarファイルを指定するユーザー定義関数を再作成することが可能だという。
開発チームでは、脆弱性の重要度を「とても重要(Very Important)」とレーティング。米国立標準技術研究所(NIST)の脆弱性データベース「NVD」では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「7.5」と評価している。
CVE番号は2021年6月に採番されており、開発チームによれば、現地時間2022年4月8日にリリースした「同3.1.3」で修正済みだとしている。「同4.0」のベータ版でも対応しており、GA版においても修正が反映される見込み。
(Security NEXT - 2022/07/28 )
ツイート
関連リンク
PR
関連記事
LLMキャッシュ管理ツールにRCE脆弱性 - キャッシュ汚染に起因
プリント管理ソフト「Xerox FreeFlow Core」に深刻な脆弱性
「Amazon EMR」に深刻な脆弱性 - 資格情報漏洩のおそれ
N-ableのIT管理ツールにゼロデイ脆弱性 - 米当局が悪用に注意喚起
「GitLab」にアップデート - 12件の脆弱性を解消
「ICS」や「Avalanche」などIvanti複数製品に脆弱性
SAP、月例アドバイザリを公開 - 複数の「クリティカル」脆弱性
民泊事業者情報をサイトで誤公開、ファイル内に残存 - 北海道
Fortinet、「FortiOS」に関する複数の脆弱性を解消
「FortiSIEM」に深刻なRCE脆弱性 - 実用的な悪用コードも